Gdy przychodnia wdraża nowe oprogramowanie, zleca archiwizację dokumentacji albo korzysta z zewnętrznej rejestracji, problem zwykle nie zaczyna się od technologii. Zaczyna się od odpowiedzialności. Umowa powierzenia danych medycznych ma uporządkować to, kto, po co i na jakich zasadach dotyka informacji o pacjentach. Jeśli jest źle przygotowana, ryzyko nie kończy się na naruszeniu RODO. Dochodzi jeszcze odpowiedzialność organizacyjna, reputacyjna i bardzo praktyczny kłopot podczas kontroli lub po incydencie bezpieczeństwa.
W sektorze medycznym nie wystarczy pobrać ogólnego wzoru z internetu i podmienić nazwę firmy. Dane medyczne należą do szczególnej kategorii danych osobowych, a to oznacza wyższy poziom ostrożności. Właściciel kliniki, kierownik podmiotu leczniczego czy osoba zarządzająca NZOZ-em musi wiedzieć nie tylko, że taka umowa jest potrzebna, ale też kiedy rzeczywiście dochodzi do powierzenia i jakie zapisy mają realne znaczenie ochronne.
Kiedy umowa powierzenia danych medycznych jest naprawdę potrzebna
Nie każda współpraca z zewnętrznym podmiotem wymaga zawarcia umowy powierzenia. Kluczowe pytanie brzmi: czy dany podmiot przetwarza dane pacjentów w imieniu placówki, czy realizuje własny cel i działa jako odrębny administrator.
Jeżeli klinika korzysta z dostawcy systemu EDM, hostingu, firmy niszczącej dokumenty, biura obsługi IT z dostępem do baz pacjentów, zewnętrznej księgowości mającej wgląd w dane identyfikacyjne pacjentów lub call center obsługującego rejestrację, najczęściej mówimy właśnie o powierzeniu. Taki podmiot działa na polecenie placówki i w granicach określonych przez umowę.
Inaczej będzie przy współpracy z laboratorium, innym podmiotem leczniczym czy lekarzem prowadzącym własną praktykę, jeżeli każdy z tych podmiotów samodzielnie decyduje o celach i sposobach przetwarzania danych. Wtedy relacja nie zawsze jest relacją administrator – procesor. To jeden z najczęstszych błędów w medycynie – zawieranie umowy powierzenia tam, gdzie potrzebna jest zupełnie inna podstawa współpracy i inny porządek odpowiedzialności.
Dlaczego dane medyczne wymagają większej ostrożności
Dane o stanie zdrowia nie są zwykłą informacją kontaktową. Ujawniają intymne, wrażliwe obszary życia pacjenta i mogą prowadzić do bardzo poważnych skutków, jeśli trafią do nieuprawnionych osób. Dlatego umowa dotycząca ich przetwarzania nie może być lakoniczna.
W praktyce placówek medycznych problemem nie jest wyłącznie sam wyciek danych. Równie groźne bywa niejasne rozdzielenie odpowiedzialności po incydencie. Kto miał wdrożyć kopie zapasowe? Kto odpowiada za nadawanie uprawnień? Kto zgłasza naruszenie i w jakim terminie informuje administratora? Jeżeli umowa tego nie rozstrzyga, placówka zostaje z problemem sama, nawet jeśli formalnie korzystała z usług wyspecjalizowanego wykonawcy.
Dobrze napisana umowa ma więc dwie funkcje. Po pierwsze, spełnia wymogi prawa. Po drugie, zabezpiecza codzienną operacyjność placówki, kiedy coś pójdzie nie tak. W realiach ochrony zdrowia ta druga funkcja bywa równie ważna jak pierwsza.
Co powinna zawierać dobra umowa powierzenia danych medycznych
RODO wskazuje elementy obowiązkowe, ale sama lista ustawowa to za mało. W medycynie warto doprecyzować zapisy pod kątem rzeczywistych procesów.
Podstawą jest określenie przedmiotu i czasu przetwarzania, charakteru oraz celu operacji na danych, rodzaju danych i kategorii osób, których dane dotyczą. W praktyce nie powinno się poprzestawać na ogólnym stwierdzeniu, że chodzi o „dane osobowe pacjentów”. Lepiej wskazać, czy są to dane identyfikacyjne, dane kontaktowe, dane zawarte w dokumentacji medycznej, informacje o wizytach, rozliczeniach lub wynikach badań. Im większa precyzja, tym mniejsze pole do sporu.
Drugim newralgicznym obszarem są środki bezpieczeństwa. Umowa nie musi opisywać całej architektury IT, ale powinna jasno określać minimalne standardy ochrony. Chodzi między innymi o zasady autoryzacji dostępu, poufność personelu, szyfrowanie, kopie zapasowe, testowanie zabezpieczeń, procedury reagowania na incydenty oraz warunki pracy zdalnej, jeśli wykonawca dopuszcza taki model.
Trzecia kwestia to podpowierzenie. Wielu dostawców korzysta z dalszych podwykonawców – serwerowni, firm utrzymaniowych, narzędzi chmurowych. Jeśli umowa milczy na ten temat, administrator może stracić kontrolę nad tym, gdzie faktycznie trafiają dane pacjentów. Zgoda na dalsze powierzenie nie powinna być automatyczna i bezwarunkowa.
Bardzo istotne są także zasady zgłaszania naruszeń. W medycynie liczy się czas. Jeżeli procesor zauważy incydent, powinien niezwłocznie przekazać administratorowi konkretne informacje, a nie jedynie ogólny komunikat o problemie. W umowie warto wskazać termin, zakres informacji i sposób komunikacji, tak aby placówka mogła szybko ocenić, czy sprawa wymaga zgłoszenia do organu nadzorczego i zawiadomienia pacjentów.
Najczęstsze błędy, które zwiększają ryzyko placówki
Najwięcej problemów nie wynika z braku samego dokumentu, tylko z pozornego wdrożenia. Umowa jest podpisana, ale nie odpowiada temu, co dzieje się w praktyce.
Częsty błąd to używanie jednego wzoru dla wszystkich usługodawców. Inne ryzyka generuje firma IT z pełnym dostępem do systemu EDM, a inne zewnętrzna firma niszcząca papierową dokumentację. Takie relacje wymagają odmiennych zapisów, choć obie mogą podpadać pod powierzenie.
Drugi problem to zbyt ogólny opis środków bezpieczeństwa. Sformułowania typu „procesor stosuje odpowiednie zabezpieczenia” niewiele pomagają, kiedy trzeba ustalić, czy wykonawca rzeczywiście dochował wymaganej staranności.
Trzeci błąd pojawia się przy zakończeniu współpracy. Umowa powinna wskazywać, co dzieje się z danymi po jej rozwiązaniu – czy są zwracane, usuwane, w jakim terminie, w jakiej formie i jak procesor potwierdza wykonanie tych działań. W podmiotach leczniczych nie można pozwolić sobie na sytuację, w której po zmianie dostawcy część danych nadal pozostaje na serwerach poprzedniego wykonawcy bez jasnej podstawy.
Wreszcie, wiele placówek nie zapewnia sobie realnego prawa kontroli. Sam zapis o możliwości audytu to jeszcze nie wszystko. Trzeba wiedzieć, kiedy z niego skorzystać i jakie dokumenty lub potwierdzenia można uzyskać. W przypadku danych medycznych audyt nie jest przejawem braku zaufania. To element zarządzania ryzykiem.
Umowa powierzenia a lekarze i personel medyczny
Tu potrzebna jest ostrożność, bo nie ma jednej odpowiedzi dla każdej placówki. Jeżeli lekarz pracuje w strukturze organizacyjnej podmiotu leczniczego, korzysta z jego narzędzi i przetwarza dane pacjentów w ramach tej działalności, zwykle nie zawiera się z nim umowy powierzenia jako z odrębnym procesorem. W grę wchodzą raczej kwestie upoważnienia, poufności i odpowiedniego uregulowania współpracy kontraktowej.
Jeśli jednak współpraca jest zorganizowana inaczej, a podmiot zewnętrzny uzyskuje dostęp do danych w imieniu placówki i wykonuje określone czynności na jej zlecenie, trzeba przeanalizować model prawny dokładniej. Automatyzm bywa tu kosztowny. Błędna kwalifikacja relacji może prowadzić do pozornie poprawnej dokumentacji, która nie wytrzyma kontroli.
To szczególnie ważne przy zakładaniu nowej placówki. Na etapie uruchamiania NZOZ-u łatwo skupić się na rejestracji działalności, kontraktach z personelem i procedurach medycznych, a kwestie powierzenia danych zostawić na później. To zły moment na odkładanie tematu. Już start działalności powinien obejmować mapę podmiotów, które będą miały dostęp do danych pacjentów, oraz właściwe uregulowanie tych relacji. W praktyce właśnie wtedy najłatwiej zbudować porządek, zamiast później gasić formalne pożary.
Jak podejść do umowy praktycznie, a nie tylko formalnie
Najbezpieczniejsze podejście zaczyna się nie od wzoru umowy, ale od prostego pytania: kto w naszej placówce ma dostęp do danych medycznych i dlaczego. Dopiero po takiej analizie widać, z kim rzeczywiście trzeba podpisać umowę powierzenia, a gdzie potrzebne są inne dokumenty lub procedury.
Następnie warto sprawdzić, czy treść umowy odpowiada realnemu modelowi współpracy. Jeżeli dostawca utrzymuje system w chmurze, powinno to być widoczne w zapisach. Jeżeli serwis IT może zdalnie logować się do systemu, umowa musi uwzględniać zasady takiego dostępu. Jeżeli wykonawca przetwarza dane poza godzinami pracy placówki, trzeba opisać kanały zgłaszania incydentów i osoby odpowiedzialne po obu stronach.
Dobra umowa nie działa w oderwaniu od procedur wewnętrznych. Powinna współgrać z upoważnieniami, polityką bezpieczeństwa, rejestrem czynności i zasadami współpracy z personelem. Właśnie dlatego w medycynie nie opłaca się traktować jej jako samodzielnego załącznika do umowy głównej, który podpisuje się bez refleksji.
Jeżeli zarządzasz placówką medyczną, warto spojrzeć na ten dokument jak na narzędzie ochrony biznesu, a nie wyłącznie obowiązek z RODO. Dobrze przygotowana umowa porządkuje odpowiedzialność, przyspiesza reakcję na incydent i ogranicza pole do sporu z wykonawcą. A to ma znaczenie nie dopiero w sądzie, lecz już w zwykły poniedziałek, kiedy system przestaje działać albo ktoś pyta, kto naprawdę miał dostęp do danych pacjenta.
Najwięcej spokoju daje nie sam podpis pod dokumentem, ale pewność, że jego treść odpowiada temu, jak placówka działa na co dzień. Właśnie tam zaczyna się prawdziwe bezpieczeństwo.